GDPR – šifrování

Společnosti mohou snížit pravděpodobnost úniku dat a tím snížit riziko pokut v budoucnosti, pokud se rozhodnou použít šifrování osobních údajů. Zpracování osobních údajů je přirozeně spojeno s určitou mírou rizika. Zejména v dnešní době, kdy jsou kyberútoky téměř nevyhnutelné pro společnosti nad určitou velikostí. Proto řízení rizik hraje stále větší roli v IT bezpečnosti a šifrování dat je vhodné, mimo jiných prostředků, pro tyto společnosti.

Obecně platí, že šifrování odkazuje na postup, který převádí čistý text na hašovaný kód pomocí klíče, kde odchozí informace se stávají znovu čitelnými pouze při použití správného klíče. Tím se minimalizuje riziko incidentu během zpracování dat, jelikož šifrované obsahy jsou prakticky nečitelné pro třetí strany, které nemají správný klíč. Šifrování je nejlepší způsob, jak chránit data během přenosu, a jeden způsob, jak zabezpečit uložená osobní data. Také snižuje riziko zneužití v rámci společnosti, neboť přístup je omezen pouze na oprávněné osoby se správným klíčem.

Nařízení rovněž uznává tato rizika při zpracování osobních údajů a ukládá odpovědnost správci a zpracovateli podle čl. 32 odst. 1 Obecného nařízení o ochraně osobních údajů zavést vhodná technická a organizační opatření k zabezpečení osobních údajů. GDPR záměrně nedefinuje, která konkrétní technická a organizační opatření jsou v každém případě považována za vhodná, aby se zohlednily individuální faktory. Poskytuje však správci katalog kritérií, která je třeba vzít v úvahu při výběru metod zabezpečení osobních údajů. Mezi ně patří stav techniky, náklady na implementaci a povaha, rozsah, kontext a účely zpracování. Kromě těchto kritérií je vždy nutné zvážit závažnost rizik pro práva a svobody subjektu údajů a jak pravděpodobné je, že se tato rizika mohou projevit. To v zásadě znamená následující: Čím vyšší jsou rizika spojená se zpracováním údajů a čím pravděpodobněji se tyto rizika projeví, tím silnější musí být přijatá bezpečnostní opatření a tím více opatření musí být přijato. Šifrování jako koncept je výslovně zmíněno jako jedno možné technické a organizační opatření k zabezpečení údajů v seznamu v čl. 32 odst. 1 GDPR, který není vyčerpávající. Opět platí, že GDPR neuvádí konkrétní šifrovací metody, aby se přizpůsobilo rychle se měnícímu technologickému pokroku. Při výběru metody je třeba také uplatnit výše uvedený katalog kritérií. K zodpovězení otázky, co je v současné době považováno za „stav techniky“, se důstojníci pro ochranu údajů obvykle spoléhají na definice stanovené v normách informační bezpečnosti jako je ISO/IEC 27001 nebo jiné národní pokyny pro IT-bezpečnost.

Šifrování osobních údajů má pro správce a/nebo zpracovatele zakázek další výhody. Například ztráta špičkově šifrovaného mobilního úložného média, které obsahuje osobní údaje, není nutně považována za narušení bezpečnosti údajů, které musí být hlášeno orgánům pro ochranu údajů. Navíc, pokud dojde k narušení bezpečnosti údajů, musí orgány pozitivně zohlednit použití šifrování při svém rozhodování o tom, zda a v jaké výši bude uložena pokuta dle čl. 83 odst. 2 písm. c) GDPR.